關于印發(fā)《工業(yè)控制系統(tǒng)信息安全防護指南》的通知
工信部信軟〔2016〕338號
為貫徹落實《國務院關于深化制造業(yè)與互聯網融合發(fā)展的指導意見》(國發(fā)〔2016〕28號)，保障工業(yè)企業(yè)工業(yè)控制系統(tǒng)信息安全，制定《工業(yè)控制系統(tǒng)信息安全防護指南》，現印發(fā)你們。
工業(yè)和信息化部指導和管理全國工業(yè)企業(yè)工控安全防護和保障工作，并根據實際情況對指南進行修訂。地方工業(yè)和信息化主管部門根據工業(yè)和信息化部統(tǒng)籌安排，指導本行政區(qū)域內的工業(yè)企業(yè)制定工控安全防護實施方案，推動企業(yè)分期分批達到本指南相關要求。
工業(yè)和信息化部
2016年10月17日
工業(yè)控制系統(tǒng)信息安全防護指南
工業(yè)控制系統(tǒng)信息安全事關經濟發(fā)展、社會穩(wěn)定和國家安全。為提升工業(yè)企業(yè)工業(yè)控制系統(tǒng)信息安全(以下簡稱工控安全)防護水平，保障工業(yè)控制系統(tǒng)安全，制定本指南。
工業(yè)控制系統(tǒng)應用企業(yè)以及從事工業(yè)控制系統(tǒng)規(guī)劃、設計、建設、運維、評估的企事業(yè)單位適用本指南。
工業(yè)控制系統(tǒng)應用企業(yè)應從以下十一個方面做好工控安全防護工作。
一、安全軟件選擇與管理
(一)在工業(yè)主機上采用經過離線環(huán)境中充分驗證測試的防病毒軟件或應用程序白名單軟件，只允許經過工業(yè)企業(yè)自身授權和安全評估的軟件運行。
(二)建立防病毒和惡意軟件入侵管理機制，對工業(yè)控制系統(tǒng)及臨時接入的設備采取病毒查殺等安全預防措施。
二、配置和補丁管理
(一)做好工業(yè)控制網絡、工業(yè)主機和工業(yè)控制設備的安全配置，建立工業(yè)控制系統(tǒng)配置清單，定期進行配置審計。
(二)對重大配置變更制定變更計劃并進行影響分析，配置變更實施前進行嚴格安全測試。
(三)密切關注重大工控安全漏洞及其補丁發(fā)布，及時采取補丁升級措施。在補丁安裝前，需對補丁進行嚴格的安全評估和測試驗證。
三、邊界安全防護
(一)分離工業(yè)控制系統(tǒng)的開發(fā)、測試和生產環(huán)境。
(二)通過工業(yè)控制網絡邊界防護設備對工業(yè)控制網絡與企業(yè)網或互聯網之間的邊界進行安全防護，禁止沒有防護的工業(yè)控制網絡與互聯網連接。
(三)通過工業(yè)防火墻、網閘等防護設備對工業(yè)控制網絡安全區(qū)域之間進行邏輯隔離安全防護。
四、物理和環(huán)境安全防護
(一)對重要工程師站、數據庫、服務器等核心工業(yè)控制軟硬件所在區(qū)域采取訪問控制、視頻監(jiān)控、專人值守等物理安全防護措施。
(二)拆除或封閉工業(yè)主機上不必要的USB、光驅、無線等接口。若確需使用，通過主機外設安全管理技術手段實施嚴格訪問控制。
五、身份認證
(一)在工業(yè)主機登錄、應用服務資源訪問、工業(yè)云平臺訪問等過程中使用身份認證管理。對于關鍵設備、系統(tǒng)和平臺的訪問采用多因素認證。
(二)合理分類設置賬戶權限，以最小特權原則分配賬戶權限。
(三)強化工業(yè)控制設備、SCADA軟件、工業(yè)通信設備等的登錄賬戶及密碼，避免使用默認口令或弱口令,定期更新口令。
(四)加強對身份認證證書信息保護力度，禁止在不同系統(tǒng)和網絡環(huán)境下共享。
六、遠程訪問安全
(一)原則上嚴格禁止工業(yè)控制系統(tǒng)面向互聯網開通HTTP、FTP、Telnet等高風險通用網絡服務。
(二)確需遠程訪問的，采用數據單向訪問控制等策略進行安全加固，對訪問時限進行控制，并采用加標鎖定策略。
(三)確需遠程維護的，采用虛擬專用網絡(VPN)等遠程接入方式進行。
(四)保留工業(yè)控制系統(tǒng)的相關訪問日志，并對操作過程進行安全審計。
七、安全監(jiān)測和應急預案演練
(一)在工業(yè)控制網絡部署網絡安全監(jiān)測設備，及時發(fā)現、報告并處理網絡攻擊或異常行為。
(二)在重要工業(yè)控制設備前端部署具備工業(yè)協(xié)議深度包檢測功能的防護設備，限制違法操作。
(三)制定工控安全事件應急響應預案，當遭受安全威脅導致工業(yè)控制系統(tǒng)出現異?；蚬收蠒r，應立即采取緊急防護措施，防止事態(tài)擴大，并逐級報送直至屬地省級工業(yè)和信息化主管部門，同時注意保護現場，以便進行調查取證。
(四)定期對工業(yè)控制系統(tǒng)的應急響應預案進行演練，必要時對應急響應預案進行修訂。
八、資產安全
(一)建設工業(yè)控制系統(tǒng)資產清單，明確資產責任人，以及資產使用及處置規(guī)則。
(二)對關鍵主機設備、網絡設備、控制組件等進行冗余配置。
九、數據安全
(一)對靜態(tài)存儲和動態(tài)傳輸過程中的重要工業(yè)數據進行保護，根據風險評估結果對數據信息進行分級分類管理。
(二)定期備份關鍵業(yè)務數據。
(三)對測試數據進行保護。
十、供應鏈管理
(一)在選擇工業(yè)控制系統(tǒng)規(guī)劃、設計、建設、運維或評估等服務商時，優(yōu)先考慮具備工控安全防護經驗的企事業(yè)單位，以合同等方式明確服務商應承擔的信息安全責任和義務。
(二)以保密協(xié)議的方式要求服務商做好保密工作，防范敏感信息外泄。
十一、落實責任
通過建立工控安全管理機制、成立信息安全協(xié)調小組等方式，明確工控安全管理責任人，落實工控安全責任制，部署工控安全防護措施。
解 讀
工業(yè)控制系統(tǒng)信息安全(以下簡稱“工控安全”)是國家網絡和信息安全的重要組成部分，是推動中國制造2025、制造業(yè)與互聯網融合發(fā)展的基礎保障。2016年10月，工業(yè)和信息化部印發(fā)《工業(yè)控制系統(tǒng)信息安全防護指南》(以下簡稱《指南》)，指導工業(yè)企業(yè)開展工控安全防護工作。
一背景情況
工控安全事關經濟發(fā)展、社會穩(wěn)定和國家安全。近年來，隨著信息化和工業(yè)化融合的不斷深入，工業(yè)控制系統(tǒng)從單機走向互聯，從封閉走向開放，從自動化走向智能化。在生產力顯著提高的同時，工業(yè)控制系統(tǒng)面臨著日益嚴峻的信息安全威脅。為貫徹落實《國務院關于深化制造業(yè)與互聯網融合發(fā)展的指導意見》(國發(fā)〔2016〕28號)文件精神，應對新時期工控安全形勢，提升工業(yè)企業(yè)工控安全防護水平，編制本《指南》。
二總體考慮
《指南》堅持“安全是發(fā)展的前提，發(fā)展是安全的保障”，以當前我國工業(yè)控制系統(tǒng)面臨的安全問題為出發(fā)點，注重防護要求的可執(zhí)行性，從管理、技術兩方面明確工業(yè)企業(yè)工控安全防護要求。編制思路如下：
(一)落實《國家網絡安全法》要求
《指南》所列11項要求充分體現了《國家網絡安全法》中網絡安全支持與促進、網絡運行安全、網絡信息安全、監(jiān)測預警與應急處置等法規(guī)在工控安全領域的要求，是《國家網絡安全法》在工業(yè)領域的具體應用。
(二)突出工業(yè)企業(yè)主體責任
《指南》根據我國工控安全管理工作實踐經驗，面向工業(yè)企業(yè)提出工控安全防護要求，確立企業(yè)作為工控安全責任主體，要求企業(yè)明確工控安全管理責任人，落實工控安全責任制。
(三)考慮我國工控安全現狀
《指南》編制以近五年我部工控安全檢查工作掌握的有關情況為基礎，充分考慮當前工控安全防護意識不到位、管理責任不明晰、訪問控制策略不完善等問題，明確了《指南》的各項要求。
(四)借鑒發(fā)達國家工控安全防護經驗
《指南》參考了美國、歐盟、日本等發(fā)達國家工控安全相關政策、標準和最佳實踐做法，對安全軟件選擇與管理、配置與補丁管理、邊界安全防護等措施進行了論證，提高了《指南》的科學性、合理性和可操作性。
(五)強調工業(yè)控制系統(tǒng)全生命周期安全防護
《指南》涵蓋工業(yè)控制系統(tǒng)設計、選型、建設、測試、運行、檢修、廢棄各階段防護工作要求，從安全軟件選型、訪問控制策略構建、數據安全保護、資產配置管理等方面提出了具體實施細則。
三內容詳解
《指南》堅持企業(yè)的主體責任及政府的監(jiān)管、服務職責，聚焦系統(tǒng)防護、安全管理等安全保障重點，提出了11項防護要求，具體解讀如下：
(一)安全軟件選擇與管理
1. 在工業(yè)主機上采用經過離線環(huán)境中充分驗證測試的防病毒軟件或應用程序白名單軟件，只允許經過工業(yè)企業(yè)自身授權和安全評估的軟件運行。
解讀：工業(yè)控制系統(tǒng)對系統(tǒng)可用性、實時性要求較高，工業(yè)主機如MES服務器、OPC服務器、數據庫服務器、工程師站、操作員站等應用的安全軟件應事先在離線環(huán)境中進行測試與驗證，其中，離線環(huán)境指的是與生產環(huán)境物理隔離的環(huán)境。驗證和測試內容包括安全軟件的功能性、兼容性及安全性等。
2. 建立防病毒和惡意軟件入侵管理機制，對工業(yè)控制系統(tǒng)及臨時接入的設備采取病毒查殺等安全預防措施。
解讀：工業(yè)企業(yè)需要建立工業(yè)控制系統(tǒng)防病毒和惡意軟件入侵管理機制，對工業(yè)控制系統(tǒng)及臨時接入的設備采用必要的安全預防措施。安全預防措施包括定期掃描病毒和惡意軟件、定期更新病毒庫、查殺臨時接入設備(如臨時接入U盤、移動終端等外設)等。
(二)配置和補丁管理
1.做好工業(yè)控制網絡、工業(yè)主機和工業(yè)控制設備的安全配置，建立工業(yè)控制系統(tǒng)配置清單，定期進行配置審計。
解讀：工業(yè)企業(yè)應做好虛擬局域網隔離、端口禁用等工業(yè)控制網絡安全配置，遠程控制管理、默認賬戶管理等工業(yè)主機安全配置，口令策略合規(guī)性等工業(yè)控制設備安全配置，建立相應的配置清單，制定責任人定期進行管理和維護，并定期進行配置核查審計。
2.對重大配置變更制定變更計劃并進行影響分析，配置變更實施前進行嚴格安全測試。
解讀：當發(fā)生重大配置變更時，工業(yè)企業(yè)應及時制定變更計劃，明確變更時間、變更內容、變更責任人、變更審批、變更驗證等事項。其中，重大配置變更是指重大漏洞補丁更新、安全設備的新增或減少、安全域的重新劃分等。同時，應對變更過程中可能出現的風險進行分析，形成分析報告，并在離線環(huán)境中對配置變更進行安全性驗證。
3.密切關注重大工控安全漏洞及其補丁發(fā)布，及時采取補丁升級措施。在補丁安裝前，需對補丁進行嚴格的安全評估和測試驗證。
解讀：工業(yè)企業(yè)應密切關注CNVD、CNNVD等漏洞庫及設備廠商發(fā)布的補丁。當重大漏洞及其補丁發(fā)布時，根據企業(yè)自身情況及變更計劃，在離線環(huán)境中對補丁進行嚴格的安全評估和測試驗證，對通過安全評估和測試驗證的補丁及時升級。
(三)邊界安全防護
1.分離工業(yè)控制系統(tǒng)的開發(fā)、測試和生產環(huán)境。
解讀：工業(yè)控制系統(tǒng)的開發(fā)、測試和生產環(huán)境需執(zhí)行不同的安全控制措施，工業(yè)企業(yè)可采用物理隔離、網絡邏輯隔離等方式進行隔離。
2.通過工業(yè)控制網絡邊界防護設備對工業(yè)控制網絡與企業(yè)網或互聯網之間的邊界進行安全防護，禁止沒有防護的工業(yè)控制網絡與互聯網連接。
解讀：工業(yè)控制網絡邊界安全防護設備包括工業(yè)防火墻、工業(yè)網閘、單向隔離設備及企業(yè)定制的邊界安全防護網關等。工業(yè)企業(yè)應根據實際情況，在不同網絡邊界之間部署邊界安全防護設備，實現安全訪問控制，阻斷非法網絡訪問，嚴格禁止沒有防護的工業(yè)控制網絡與互聯網連接。
3.通過工業(yè)防火墻、網閘等防護設備對工業(yè)控制網絡安全區(qū)域之間進行邏輯隔離安全防護。
解讀：工業(yè)控制系統(tǒng)網絡安全區(qū)域根據區(qū)域重要性和業(yè)務需求進行劃分。區(qū)域之間的安全防護，可采用工業(yè)防火墻、網閘等設備進行邏輯隔離安全防護。
(四)物理和環(huán)境安全防護
1.對重要工程師站、數據庫、服務器等核心工業(yè)控制軟硬件所在區(qū)域采取訪問控制、視頻監(jiān)控、專人值守等物理安全防護措施。
解讀：工業(yè)企業(yè)應對重要工業(yè)控制系統(tǒng)資產所在區(qū)域，采用適當的物理安全防護措施。
2.拆除或封閉工業(yè)主機上不必要的USB、光驅、無線等接口。若確需使用，通過主機外設安全管理技術手段實施嚴格訪問控制。
解讀：USB、光驅、無線等工業(yè)主機外設的使用，為病毒、木馬、蠕蟲等惡意代碼入侵提供了途徑，拆除或封閉工業(yè)主機上不必要的外設接口可減少被感染的風險。確需使用時，可采用主機外設統(tǒng)一管理設備、隔離存放有外設接口的工業(yè)主機等安全管理技術手段。
(五)身份認證
1.在工業(yè)主機登錄、應用服務資源訪問、工業(yè)云平臺訪問等過程中使用身份認證管理。對于關鍵設備、系統(tǒng)和平臺的訪問采用多因素認證。
解讀：用戶在登錄工業(yè)主機、訪問應用服務資源及工業(yè)云平臺等過程中，應使用口令密碼、USB-key、智能卡、生物指紋、虹膜等身份認證管理手段，必要時可同時采用多種認證手段。
2.合理分類設置賬戶權限，以最小特權原則分配賬戶權限。
解讀：工業(yè)企業(yè)應以滿足工作要求的最小特權原則來進行系統(tǒng)賬戶權限分配，確保因事故、錯誤、篡改等原因造成的損失最小化。工業(yè)企業(yè)需定期審計分配的賬戶權限是否超出工作需要。
3.強化工業(yè)控制設備、SCADA軟件、工業(yè)通信設備等的登錄賬戶及密碼，避免使用默認口令或弱口令,定期更新口令。
解讀：工業(yè)企業(yè)可參考供應商推薦的設置規(guī)則，并根據資產重要性，為工業(yè)控制設備、SCADA軟件、工業(yè)通信設備等設定不同強度的登錄賬戶及密碼，并進行定期更新，避免使用默認口令或弱口令。
4.加強對身份認證證書信息保護力度，禁止在不同系統(tǒng)和網絡環(huán)境下共享。
解讀：工業(yè)企業(yè)可采用USB-key等安全介質存儲身份認證證書信息，建立相關制度對證書的申請、發(fā)放、使用、吊銷等過程進行嚴格控制，保證不同系統(tǒng)和網絡環(huán)境下禁止使用相同的身份認證證書信息，減小證書暴露后對系統(tǒng)和網絡的影響。
(六)遠程訪問安全
1.原則上嚴格禁止工業(yè)控制系統(tǒng)面向互聯網開通HTTP、FTP、Telnet等高風險通用網絡服務。
解讀：工業(yè)控制系統(tǒng)面向互聯網開通HTTP、FTP、Telnet等網絡服務，易導致工業(yè)控制系統(tǒng)被入侵、攻擊、利用，工業(yè)企業(yè)應原則上禁止工業(yè)控制系統(tǒng)開通高風險通用網絡服務。
2.確需遠程訪問的，采用數據單向訪問控制等策略進行安全加固，對訪問時限進行控制，并采用加標鎖定策略。
解讀：工業(yè)企業(yè)確需進行遠程訪問的，可在網絡邊界使用單向隔離裝置、VPN等方式實現數據單向訪問，并控制訪問時限。采用加標鎖定策略，禁止訪問方在遠程訪問期間實施非法操作。
3.確需遠程維護的，采用虛擬專用網絡(VPN)等遠程接入方式進行。
解讀：工業(yè)企業(yè)確需遠程維護的，應通過對遠程接入通道進行認證、加密等方式保證其安全性，如采用虛擬專用網絡(VPN)等方式，對接入賬戶實行專人專號，并定期審計接入賬戶操作記錄。
4.保留工業(yè)控制系統(tǒng)的相關訪問日志，并對操作過程進行安全審計。
解讀：工業(yè)企業(yè)應保留工業(yè)控制系統(tǒng)設備、應用等訪問日志，并定期進行備份，通過審計人員賬戶、訪問時間、操作內容等日志信息，追蹤定位非授權訪問行為。
(七)安全監(jiān)測和應急預案演練
1.在工業(yè)控制網絡部署網絡安全監(jiān)測設備，及時發(fā)現、報告并處理網絡攻擊或異常行為。
解讀：工業(yè)企業(yè)應在工業(yè)控制網絡部署可對網絡攻擊和異常行為進行識別、報警、記錄的網絡安全監(jiān)測設備，及時發(fā)現、報告并處理包括病毒木馬、端口掃描、暴力破解、異常流量、異常指令、工業(yè)控制系統(tǒng)協(xié)議包偽造等網絡攻擊或異常行為。
2.在重要工業(yè)控制設備前端部署具備工業(yè)協(xié)議深度包檢測功能的防護設備，限制違法操作。
解讀：在工業(yè)企業(yè)生產核心控制單元前端部署可對Modbus、S7、Ethernet/IP、OPC等主流工業(yè)控制系統(tǒng)協(xié)議進行深度分析和過濾的防護設備，阻斷不符合協(xié)議標準結構的數據包、不符合業(yè)務要求的數據內容。
3.制定工控安全事件應急響應預案，當遭受安全威脅導致工業(yè)控制系統(tǒng)出現異?；蚬收蠒r，應立即采取緊急防護措施，防止事態(tài)擴大，并逐級報送直至屬地省級工業(yè)和信息化主管部門，同時注意保護現場，以便進行調查取證。
解讀：工業(yè)企業(yè)需要自主或委托第三方工控安全服務單位制定工控安全事件應急響應預案。預案應包括應急計劃的策略和規(guī)程、應急計劃培訓、應急計劃測試與演練、應急處理流程、事件監(jiān)控措施、應急事件報告流程、應急支持資源、應急響應計劃等內容。
4.定期對工業(yè)控制系統(tǒng)的應急響應預案進行演練，必要時對應急響應預案進行修訂。
解讀：工業(yè)企業(yè)應定期組織工業(yè)控制系統(tǒng)操作、維護、管理等相關人員開展應急響應預案演練，演練形式包括桌面演練、單項演練、綜合演練等。必要時，企業(yè)應根據實際情況對預案進行修訂。
(八)資產安全
1.建設工業(yè)控制系統(tǒng)資產清單，明確資產責任人，以及資產使用及處置規(guī)則。
解讀：工業(yè)企業(yè)應建設工業(yè)控制系統(tǒng)資產清單，包括信息資產、軟件資產、硬件資產等。明確資產責任人，建立資產使用及處置規(guī)則，定期對資產進行安全巡檢，審計資產使用記錄，并檢查資產運行狀態(tài)，及時發(fā)現風險。
2.對關鍵主機設備、網絡設備、控制組件等進行冗余配置。
解讀：工業(yè)企業(yè)應根據業(yè)務需要，針對關鍵主機設備、網絡設備、控制組件等配置冗余電源、冗余設備、冗余網絡等。
(九)數據安全
1.對靜態(tài)存儲和動態(tài)傳輸過程中的重要工業(yè)數據進行保護，根據風險評估結果對數據信息進行分級分類管理。
解讀：工業(yè)企業(yè)應對靜態(tài)存儲的重要工業(yè)數據進行加密存儲，設置訪問控制功能，對動態(tài)傳輸的重要工業(yè)數據進行加密傳輸，使用VPN等方式進行隔離保護，并根據風險評估結果，建立和完善數據信息的分級分類管理制度。
2.定期備份關鍵業(yè)務數據。
解讀：工業(yè)企業(yè)應對關鍵業(yè)務數據，如工藝參數、配置文件、設備運行數據、生產數據、控制指令等進行定期備份。
3.對測試數據進行保護。
解讀：工業(yè)企業(yè)應對測試數據，包括安全評估數據、現場組態(tài)開發(fā)數據、系統(tǒng)聯調數據、現場變更測試數據、應急演練數據等進行保護，如簽訂保密協(xié)議、回收測試數據等。
(十)供應鏈管理
1.在選擇工業(yè)控制系統(tǒng)規(guī)劃、設計、建設、運維或評估等服務商時，優(yōu)先考慮具備工控安全防護經驗的企事業(yè)單位，以合同等方式明確服務商應承擔的信息安全責任和義務。
解讀：工業(yè)企業(yè)在選擇工業(yè)控制系統(tǒng)規(guī)劃、設計、建設、運維或評估服務商時，應優(yōu)先考慮有工控安全防護經驗的服務商，并核查其提供的工控安全合同、案例、驗收報告等證明材料。在合同中應以明文條款的方式約定服務商在服務過程中應當承擔的信息安全責任和義務。
2.以保密協(xié)議的方式要求服務商做好保密工作，防范敏感信息外泄。
解讀：工業(yè)企業(yè)應與服務商簽訂保密協(xié)議，協(xié)議中應約定保密內容、保密時限、違約責任等內容。防范工藝參數、配置文件、設備運行數據、生產數據、控制指令等敏感信息外泄。
(十一)落實責任
通過建立工控安全管理機制、成立信息安全協(xié)調小組等方式，明確工控安全管理責任人，落實工控安全責任制，部署工控安全防護措施。
解讀：工業(yè)企業(yè)應建立健全工控安全管理機制，明確工控安全主體責任，成立由企業(yè)負責人牽頭的，由信息化、生產管理、設備管理等相關部門組成的工業(yè)控制系統(tǒng)信息安全協(xié)調小組，負責工業(yè)控制系統(tǒng)全生命周期的安全防護體系建設和管理，制定工業(yè)控制系統(tǒng)安全管理制度，部署工控安全防護措施。
四貫徹落實
一是面向地方工業(yè)和信息化主管部門、中央企業(yè)等開展《指南》宣貫，依據《指南》要求組織培訓，指導工業(yè)企業(yè)進一步優(yōu)化工控安全管理與技術防護手段。
二是選擇工業(yè)聚集發(fā)展城市及地區(qū)，設立工控安全防護試點區(qū)，組織區(qū)內工業(yè)企業(yè)開展工控安全防護應用試點，遴選優(yōu)秀試點企業(yè)分享工控安全防護經驗，總結提煉工業(yè)控制系統(tǒng)防護示范案例。
三是將《指南》要求納入年度工業(yè)行業(yè)網絡安全檢查項目，強化責任落實到位，管理、技術落實到位。通過自查、抽查、深度檢查等方式促進工業(yè)企業(yè)深入貫徹并落實《指南》。
地方工信主管部門負責對本地區(qū)內的工控安全防護工作進行監(jiān)督管理，并配合工業(yè)和信息化部做好工控安全相關工作。工業(yè)企業(yè)應按照《指南》各項要求，開展和完善工控安全防護工作，改善自身安全防護能力的同時，為全面提升我國工業(yè)信息安全防護水平提供支撐。
（轉載）
